扩展容器的 SBOM 需要覆盖构建依赖与许可证 RSS

为 CNPG-Extensions 构建容器时，Jeremy Schneider 发现，生成软件物料清单并不等于完整追溯供应链。Rust 工作区、仅来自 Git 的依赖及 Debian 包许可证，都可能被扫描工具遗漏；扩展显示的 SQL 版本也可能与安装包版本不同。他结合多种工具补全依赖和许可证，再用 Cosign 签名与附加证明关联产物。这份工程记录还提醒维护者，测试版进入稳定分发渠道仍需明确的发布策略。

发布于 2026-09-13T00:12:27.278509Z · Jeremy Schneider · Ardent Performance Computing

供应链 容器 扩展

为 CNPG-Extensions 构建容器时，Jeremy Schneider 发现，生成软件物料清单并不等于完整追溯供应链。Rust 工作区、仅来自 Git 的依赖及 Debian 包许可证，都可能被扫描工具遗漏；扩展显示的 SQL 版本也可能与安装包版本不同。他结合多种工具补全依赖和许可证，再用 Cosign 签名与附加证明关联产物。这份工程记录还提醒维护者，测试版进入稳定分发渠道仍需明确的发布策略。

为 CNPG-Extensions 构建容器时，Jeremy Schneider 发现，生成软件物料清单并不等于完整追溯供应链。Rust 工作区、仅来自 Git 的依赖及 Debian 包许可证，都可能被扫描工具遗漏；扩展显示的 SQL 版本也可能与安装包版本不同。他结合多种工具补全依赖和许可证，再用 Cosign 签名与附加证明关联产物。这份工程记录还提醒维护者，测试版进入稳定分发渠道仍需明确的发布策略。

原始来源 ↗

来源记录

• center.info_item · ea2d0d52f978f526 · 2026-10-03T04:08:35.169032Z
• pgweb.info_item · ea2d0d52f978f526 · 2026-10-03T04:08:55.967155Z